깃허브 코파일럿, PR 병합 승인 권한까지 부여…조언자에서 결정권자로 격상됐다

깃허브(GitHub)가 AI 코드 리뷰 도구 코파일럿(Copilot)에 풀 리퀘스트(PR, 병합 요청) 승인 권한을 부여했다. 그동안 코파일럿은 코드에 댓글을 남기고 버그나 스타일 문제를 짚어내는 조언자 역할에 머물렀지만, 이제는 관리자가 허용하면 실제 승인 서명까지 남길 수 있다. 코파일럿의 승인은 저장소가 요구하는 필수 승인 규칙을 충족하는 데 그대로 반영된다. 다만 이 기능은 기본적으로 꺼져 있으며 엔터프라이즈·조직·저장소 세 단계에서 관리자가 켜고 끌 수 있다. 현재는 코파일럿 프로, 프로플러스, 맥스, 비즈니스, 엔터프라이즈 요금제를 대상으로 퍼블릭 프리뷰(공개 시험판) 형태로 제공된다.

리뷰 댓글에 담긴 “승인 판단”…필수 조건은 아니다

코파일럿이 남기는 모든 코드 리뷰는 개요 댓글(overview comment)로 마무리되는데, 이제 이 댓글에 승인 어세스먼트(approval assessment)라는 항목이 새로 포함된다. 코파일럿이 해당 PR을 병합해도 좋다고 판단하는지 여부를 한눈에 보여주는 표시다. 상세 댓글과 함께 코파일럿의 종합 판단을 바로 확인할 수 있게 됐다.

깃허브는 이 어세스먼트 자체만으로는 병합 조건을 충족시키지 않는다고 명확히 밝혔다. 코파일럿의 판단을 사용자에게 보여줄 뿐, 그 판단을 실제로 승인으로 받아들일지는 관리자가 별도로 설정해야 한다. 관리자가 기능을 켜면 코파일럿의 승인이 사람 리뷰어의 승인과 똑같이 저장소의 필수 승인 규칙에 반영된다. 승인 이후 새 커밋이 올라오면 사람 리뷰어의 승인이 무효화되는 것과 마찬가지로 코파일럿의 승인도 자동 취소되며, 다시 리뷰를 요청해야 새 승인을 받을 수 있다.

엔터프라이즈·조직·저장소 3단계 통제…파일 경로별 제한도 가능

깃허브는 이 기능을 세 단계로 나눠 관리자가 제어할 수 있게 설계했다. 엔터프라이즈 단계에서는 전체 조직에 걸쳐 승인 기능을 꺼둘 수도 있고, 각 조직이 스스로 결정하도록 맡길 수도 있다. 조직 단계에서는 조직 전체에 승인 기능을 켜거나, 저장소 관리자에게 결정권을 넘기거나, 특정 저장소만 골라 활성화하거나, 조직 전체에서 끄는 방식 중 선택할 수 있다. 저장소 단계에서는 관리자가 승인 기능을 켜거나 끄는 것은 물론 코파일럿이 승인할 수 있는 파일 경로까지 세밀하게 지정할 수 있다.

이런 다단계 구조 덕분에 팀은 문서나 테스트 코드처럼 위험도가 낮은 영역에만 코파일럿의 승인 권한을 먼저 열어주고, 인증이나 결제 로직처럼 민감한 코드는 사람이 계속 검토하도록 구분할 수 있다. 데브옵스닷컴(devops.com)은 이런 파일 경로 제한 기능이 있어 팀이 의도적으로 단계별 도입을 할 수 있다고 짚었다.

“조언에서 권한으로”…8월 말 리뷰 범위 확장의 연장선

데브옵스닷컴에 따르면 이번 조치는 갑작스러운 변화가 아니다. 깃허브는 8월 말 코파일럿 코드 리뷰에 적용됐던 파일 300개·2만 줄 제한을 없앴고, 봇이 올린 PR과 코파일럿 자체 클라우드 에이전트가 만든 PR까지 리뷰 대상을 넓혀왔다. 승인 권한 부여는 이런 흐름의 다음 단계로, 코파일럿을 옆에서 댓글만 다는 도구가 아니라 PR 생명주기 전체에 관여하는 존재로 만들어가는 작업의 일환이라는 설명이다.

퓨처럼그룹(The Futurum Group)에서 최고정보책임자(CIO)·기술 구매 및 소프트웨어 생애주기 엔지니어링 부문을 이끄는 미치 애슐리(Mitch Ashley)는 “승인은 코드 리뷰가 조언에서 권한으로 바뀌는 지점이며, 깃허브는 방금 코파일럿을 그 경계 너머로 옮겨놓았다”고 평가했다. 그는 이어 “자동화된 리뷰어도 사람과 마찬가지로 눈에 보이는 결과를 통해 신뢰를 얻어야 한다”며 “엔지니어링 리더는 이 기능을 켜고 승인의 효과를 측정할 수 있도록 계기(instrument)를 마련해야 한다”고 덧붙였다.

도입 팀이 풀어야 할 숙제…측정 체계는 스스로 구축해야

문제는 이런 측정 도구를 깃허브가 기본으로 제공하지 않는다는 점이다. 코파일럿의 승인이 사람의 승인과 동일한 무게를 갖게 된 만큼, 코파일럿이 얼마나 정확하게 승인 판단을 내리는지, 승인 이후 사람이 문제를 다시 잡아내는 경우가 얼마나 되는지, 승인 속도가 빨라진 대신 리뷰의 깊이가 얕아지지는 않는지를 추적할 대시보드는 팀이 직접 만들어야 한다.

데브옵스닷컴은 팀들이 문서·설정 파일·테스트 코드처럼 위험이 낮은 영역부터 좁게 시작해 코파일럿의 성과를 지켜본 뒤 범위를 넓혀가는 방식을 권장한다고 전했다. 이 단계를 건너뛰고 모든 저장소에서 승인 기능을 한꺼번에 켜는 팀은 리뷰 지연 문제를 해결하는 대신 거버넌스 공백이라는 새로운 위험을 떠안게 될 수 있다는 지적이다. 코파일럿이 어디까지 권한을 가질지 경계를 먼저 정하는 팀이 이 변화를 가장 안전하게 활용할 것으로 보인다.